Guida · Per gli amministratori

Firewall, volumi e IP flottanti

Dalla 0.11 ogni VPS ha un firewall suo, i dischi aggiuntivi diventano volumi che si staccano e si collegano a un'altra VPS, e gli IP aggiuntivi passano da una VPS all'altra con un clic. Le tre cose le possono usare anche i clienti, sulle loro VPS.

Firewall delle VPS

Nella pagina della VPS c'è il riquadro Firewall. È spento finché non lo accendi tu o il cliente. Acceso, blocca tutto il traffico in entrata verso la VPS tranne quello aperto dalle regole:

il traffico in uscita passa sempre, e passano anche le risposte alle connessioni aperte dalla VPS (il firewall tiene traccia delle connessioni);
la scoperta dei vicini IPv6 passa sempre, così l'IPv6 non si ferma;
la console del pannello e l'agente non passano dalla rete: funzionano anche con tutto chiuso.

Ogni regola ha:

protocollo: TCP, UDP, Ping oppure Tutto;
porte (solo TCP e UDP): 22, 80,443, 1000-2000; vuote vuol dire tutte;
da dove: un IP o una rete, IPv4 o IPv6 (203.0.113.7, 10.0.0.0/8, 2001:db8::/32); vuota vuol dire da ovunque;
una nota facoltativa.

Al massimo 50 regole per VPS e 20 porte o intervalli per regola. Una regola «Tutto da ovunque» non si può fare: in quel caso si spegne il firewall. I pulsanti Aggiungi mettono le regole pronte (SSH, Web, Desktop remoto, Ping, Email, DNS) e quelle dell'applicazione della VPS.

Se si accende il firewall senza regole, il pannello mette quelle proposte: SSH (o il desktop remoto per Windows), il ping e le porte dell'applicazione installata (WordPress 80 e 443, HestiaCP 8083, CyberPanel 8090, cPanel 2083 e 2087, Plesk 8443, DirectAdmin 2222).

Dove agisce

Il firewall gira sul nodo, con nftables, prima che il traffico arrivi alla VPS. Il pannello scrive le regole di tutte le VPS del nodo in /etc/koavm/firewall.nft (tabelle koavm_fw) e attiva il servizio koavm-firewall, che le rimette dopo un riavvio del nodo. Filtra:

per indirizzo il traffico che il nodo instrada (IP principale, IP aggiuntivi, IPv6);
per MAC il traffico che passa nel bridge, anche fra due VPS dello stesso nodo e attraverso la rete estesa fra i nodi.

Le regole si applicano appena salvate. Il pannello aggiorna da solo il nodo dopo creazione, eliminazione, spostamento, migrazione, reinstallazione, ripristino e ogni cambio di IP, e ricontrolla tutti i nodi ogni 15 minuti. Se il nodo non risponde le regole restano salvate, il riquadro mostra l'errore e il pannello riprova.

Serve:

il pacchetto nftables sul nodo: la preparazione dei nodi nuovi lo installa, su Debian e Ubuntu di solito c'è già, altrimenti apt install nftables;
l'accesso SSH del pannello al nodo (Migrazione › Nodi di destinazione), come per la swap e la migrazione.

Il firewall non c'è per le VPS dei fornitori (usano il firewall del fornitore) e per le VPS con la scheda macvlan (il traffico non passa dal nodo): il riquadro dice il motivo.

Volumi

Ogni disco aggiuntivo è un volume. La pagina Volumi li elenca tutti (il cliente vede i suoi), collegati o staccati, con nodo, cliente e data.

Stacca (pagina Volumi o riquadro Dischi aggiuntivi): il pannello smonta il disco nella VPS, lo toglie da /etc/fstab e lo scollega. I dati restano nel volume, che resta del cliente sullo stesso nodo e continua a contare nello spazio del nodo.
Collega: un volume staccato va su una VPS dello stesso cliente sullo stesso nodo (al massimo 8 dischi per VPS). Su Linux, con l'agente attivo, il pannello lo monta nella cartella scelta o in /mnt/discoN; i dati restano com'erano. Se la VPS è spenta lo monti dopo con Monta. Come per «Aggiungi disco», se la VPS si sposta a caldo il primo disco la fa riavviare una volta.
Snapshot: ogni volume ha i suoi, fino a 5, anche quando è staccato. Il ripristino si fa con il volume staccato o con la VPS spenta; su ZFS cancella gli snapshot più recenti di quello scelto.
Cancella: solo tu, solo per un volume staccato, scrivendo il suo nome. Dati e snapshot del volume si perdono.

Il cliente può staccare, collegare, montare e fare snapshot dei suoi volumi; non può crearne di nuovi né cancellarli (si vendono come dischi aggiuntivi). I backup di una VPS comprendono i dischi collegati in quel momento: un volume staccato non è nei backup. Lo spazio dei volumi staccati conta anche nel limite dei rivenditori, e un nodo con volumi staccati non si può dismettere.

IP flottanti

Un IP aggiuntivo passa da una VPS a un'altra dello stesso cliente: nella scheda Rete della VPS, l'icona con le due frecce accanto all'indirizzo, poi la VPS di arrivo. Ci vogliono pochi secondi e nessun riavvio. Il pannello toglie l'IP dalla prima VPS (scheda e configurazione dentro la VPS) e lo mette sulla seconda; se la seconda non lo accetta, l'IP torna sulla prima.

L'IP va solo su una VPS il cui nodo può usarlo: un blocco instradato collegato a quel nodo (Rete e IP) o un IP del fornitore instradato sul suo server. Di solito vuol dire stesso nodo, oppure nodi che condividono il blocco. Il firewall segue l'IP: le regole della VPS di arrivo valgono subito anche per lui. Su Windows l'IP arriva sulla scheda della VPS e dentro Windows si configura a mano.

Dall'API

Chiamata	Cosa fa
`GET /vps/{id}/firewall`	stato, regole, regole proposte, ultima applicazione sul nodo ed eventuale errore
`PUT /vps/{id}/firewall`	`{"enabled": true}` e/o `{"rules": [{"proto": "tcp", "ports": "80,443", "source": "", "note": "Web"}]}` (le regole sostituiscono quelle di prima)
`POST /vps/{id}/disks/{disco}/detach`	stacca un disco: diventa un volume staccato
`GET /volumes`	volumi, collegati e staccati (`?user_id=` per quelli di un cliente)
`POST /volumes/{id}/attach`	`{"vps_id": 1001}`, con `"mount": "/mnt/dati"` oppure `"mount": ""` per non montarlo
`GET/POST /volumes/{id}/snapshots`	snapshot del volume: elenco e nuovo
`POST /volumes/{id}/snapshots/{nome}/restore`, `DELETE /volumes/{id}/snapshots/{nome}`	ripristino e cancellazione
`POST /vps/{id}/ips/{ip}/move`	`{"to": 1002}`: sposta l'IP aggiuntivo su un'altra VPS dello stesso cliente

Vedi anche API e integrazioni e Rete e IP.